Come valutare fornitori software e cloud per la protezione dei dati personali

01

La risposta in breve

Valutare un fornitore software o cloud richiede di identificare quali dati personali tratterà, verificare che garantisca il medesimo livello di sicurezza indipendentemente dall'attrezzatura o dalla postazione usata, e controllare le misure organizzative e tecniche messe in campo contro i rischi di accesso non autorizzato, alterazione o perdita dei dati.

Se il trattamento comporta un rischio elevato per le persone, occorre inoltre considerare se sia necessaria una valutazione d'impatto sulla protezione dei dati (DPIA).

02

Perché la valutazione parte dai dati

I dati personali comprendono qualsiasi informazione che identifica una persona direttamente o indirettamente: nome, numeri di identificazione come codici cliente o matricole, indirizzi e-mail, dati di localizzazione, cronologia di navigazione o acquisti, foto e registrazioni audio.

Alcune categorie di dati sono considerate particolari (sensibili) e richiedono una protezione rafforzata. Sapere quali tipi di dati un fornitore tratterà è il primo passo per capire quale livello di sicurezza richiedere.

03

Un processo di valutazione in cinque passi

Passaggi

1. Mappare quali dati personali il fornitore accederà, tratterà o memorizzerà, incluse eventuali categorie particolari.
2. Verificare che il livello di sicurezza sia identico indipendentemente da dispositivo, rete o luogo di accesso.
3. Valutare i rischi di accesso non autorizzato, alterazione o perdita dei dati e le relative fonti, interne ed esterne.
4. Controllare quali minacce alle risorse (hardware, software, canali di comunicazione) sono coperte e con quali misure esistenti o pianificate.
5. Stabilire se il trattamento richiede una DPIA, obbligatoria per i trattamenti a rischio elevato per le persone.

04

Esempio ipotetico

Un'azienda valuta un fornitore cloud per gestire le buste paga dei dipendenti. Mappa i dati coinvolti (nomi, matricole, indirizzi e-mail) e chiede al fornitore come previene la divulgazione non autorizzata delle buste paga, un rischio di violazione della riservatezza citato tra gli esempi tipici.

Chiede anche se il fornitore stima la gravità e la probabilità dei rischi individuati e se effettua controlli periodici di sicurezza con relativo piano d'azione.

05

Elementi da verificare prima della firma

• Il fornitore forma regolarmente il personale sui rischi legati alla privacy?
• Esiste una politica interna vincolante sulla protezione dei dati?
• La protezione dei dati è integrata fin dalla progettazione e per impostazione predefinita?
• I dati trattati sono limitati a quanto necessario (minimizzazione)?
• Sono previsti blocco automatico delle sessioni, firewall, antivirus aggiornati e backup?

06

Cosa può predisporre un'azienda con il supporto di un partner software

• Un registro dei fornitori con i tipi di dati personali trattati da ciascuno, mantenuto aggiornato.
• Un foglio o strumento per la gestione del rischio, con rischi materiali e umani collegati a ciascun fornitore.
• Ruoli chiari su chi rivede periodicamente le misure di sicurezza dei fornitori e chi approva nuovi contratti.
• Promemoria periodici per rinnovare la valutazione dei fornitori e verificare che le misure pianificate siano attuate.
• Documentazione accessibile ai gestori dei dati interessati, scritta in linguaggio chiaro per ogni categoria di utente.

07

Domande frequenti sulla valutazione dei fornitori

• La responsabilità sulla sicurezza dei dati resta dell'azienda anche se il fornitore gestisce l'infrastruttura su cui i dati non sono sotto il suo controllo fisico o legale.
• Una DPIA è obbligatoria quando il trattamento può comportare un rischio elevato per le persone, e deve indicare le misure previste per affrontare i rischi individuati.
• Un controllo periodico di sicurezza dovrebbe produrre un piano d'azione monitorato al livello più alto dell'organizzazione.

08

Passo successivo

Prima di firmare un contratto con un nuovo fornitore software o cloud, compilate la mappatura dei dati trattati e la checklist delle misure di sicurezza qui riportate, e conservatela come parte della documentazione interna sui fornitori.